Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau

Reprenez le contrôle de votre sécurité
et chassez les pirates de votre réseau.
Michel Cusin
5 mai 2014
© Cusin Sécurité Inc., 2014. Tous droits réservés.

Parlons des vraies affaires…!
Peu importe ce que nous faisons, les mécanismes
de sécurité sont contournés et les systèmes
informatiques se font systématiquement pirater.
La question n’est pas “si” cela arrivera, mais plutôt:
C’est un fait: Vous vous FEREZ “hacker”.
Quand?
Comment?
Combien de fois?
Pendant combien de temps?

http://datalossdb.org/

http://www.databreaches.net

http://map.ipviking.com/ (Chrome)

1) Reconnaissance (Recherche d’informations)
Hacking 101 – Phases d’une attaque

Hacking 101 – Reconnaissance
•  Site Web:
•  Postes disponibles
•  Communiqués de presse
•  Adresses courriel
•  Etc...
• Adresses IP et autres informations:
• American Registry for Internet Numbers (ARIN)
• Whois (Qui)
• Nslookup (Quoi)
• Médias sociaux:
• Facebook
• LinkedIn
• Etc...
• Outils et sites spécialisés:
• Maltego, Lazy Champ
• centralops.net, mxtoolbox.com/
• inteltechniques.com/

2) Balayage “Scanning” (Découverte des vulnérabilités)

Hacking 101 – Scanning
•  Balayage de ports
•  Nmap
•  Découverte des ports ouverts (0 à 65535 - TCP & UDP)
•  Différents types de scans (connect, syn, etc…)
• « OS Fingerprinting » - Déterminer la version du OS
• Actif: Nmap, Xprobe
• Passif: p0f
• Balayage de vulnérabilités
• Nessus
• Découverte des vulnérabilités dans le bût de les exploiter

3) Exploitation (Exploitation des vulnérabilités)

Hacking 101 – Exploitation
Le “framework” Metasploit est un outil pour le développement et
l'exécution d'exploits contre une machine distante.
Exploit 1 Payload 1
Exploit 2 Payload 1 Stager Launcher Vers la cible
Interface utilisateur
Choix
Exploit 2
Exploit N
Payload 2
Payload N

Hacking 101 – Types d’attaques
4) Garder l’accès (Backdoors, Rootkits)

Hacking 101 – Garder l’accès (Backdoor)

Hacking 101 – Garder l’accès (Rootkit)
Source: http://www.pegase-secure.com/images/def/rootkit.jpg

4) Garder l’access (Backdoors, Rootkits)
5) Couvrir les traces (effacer/modifier les logs)

Hacking 101 – Couvrir les traces

•  Server-side Attacks (Externe)
• Client-side Attacks (Interne)
• Ingénierie sociale (les gens)
• Sans fil (Interne et externe)
• Medias amovible (clée USB, Teensy, etc.)
• Combination de plusieurs types d’attaque

« Server-Side Attack »
Port Scan + OS Fingerprinting
(Nmap)
Scan de vulnérabilités
(Nessus)
Exploitation d’une vulnérabilité (Metasploit)
1
2
3

« Client-Side Attack »
Connexion en sortie:
Ex.: Port TCP 80 (HTTP)
ou 443 (HTTPS)
Coupe-feuAttaquant
Réseau interne
Base de
données
Contrôleur de
domaine
Poste de
travail
IDS / IPS
AntivirusInternet
Commutateur
Darknet

Évasion d’antivirus avec Veil
Metasploit + Meterpreter + MSFVenom (MSFPayload + MSFEncode) = Veil

Autres vecteurs d’attaques

http://globe.cyberfeed.net/

Darknet: Le Web invisible
http://wikitjerrta4qgz4.onion/
http://www.google.com

Darknet
•  TOR: The Onion Router
•  I2P: The Invisible Internet Project
(le projet internet invisible)
•  Freenet: The Free Network

•  http://www.torproject.org/
TOR: The Onion Router

•  Élévation de privilèges (obtenir l’accès complet)
« Shell is just the beginning »
• Voler les “hashes” (Pass-the-Hash, craquer les mots de passe)
• Installer des “backdoors” & des “rootkits”
• Exfiltrer & manipuler l’information (data)
• Obtenir l’accès à d’autres systèmes sur le réseau
• Recommencer encore et encore…

Ø  Seulement 6% des organisations ont découvert les brèches elles-mêmes et 94% sont avisés par l’externe;
Rapport Mandiant 2012: Les faits saillants
Ø L’attaque ciblée ou avancée typique passe inaperçue pendant plus d'un an;
Ø Les brèches sont souvent découvertes lors du processus de fusions et d’acquisitions;
Ø Les attaques avancées visent plusieurs maillons de la « chaîne »;
Ø Les logiciels malveillants (malware) racontent seulement la moitié (54%) de l'histoire;
Ø L'utilisation d’outils publics ajoute de la complexité dans l’identification des acteurs derrière les menaces;
Ø  Les attaquants diversifient leurs mécanismes de persistance;
Ø  Les attaquants motivés par des objectifs financiers sont de plus en plus persistants.

Alors? Quel est le problème?

Nous regardons la sécurité de la même façon qu’il
y a 10 ans…
Alors? Quel est le problème?
…en focusant principalement sur ce qui ne
fonctionne pas…
…et nous concentrons nos efforts sur la protection
au détriment de la détection et la réaction.

Que pouvons-nous faire?

•  Analyser le trafic en sortie (Data)
Voici un bon début
•  Regarder ce qui compte vraiment
• Arrêter d’avoir confiance de facto à l’interne
• Développer une meilleure réponse aux incidents
• Appliquer les correctifs de sécurité (systèmes et applications)
• Rincer et répéter
•  Arrêter de se fier uniquement aux moyens de protection
(FW, IDS, AV, etc.)
•  Utiliser les “Indicators Of Compromise” (IOC)
•  Essayer de savoir ce que nous ne savons pas

L’approche « TASER »
*Bilan de sécurité
*Gestion de la sécurité
Tester
-  Balayages de vulnérabilités
-  Analyses de vulnérabilités
-  Tests d’intrusion
Analyser
Trafic malicieux
-  Vers, bots, backdoors, C&C, etc.
-  Exfiltration de données sensibles.
Surveiller
-  Détection d’intrusion (IDS/IPS)
-  Détection de brèches (BDS)
-  Surveillance des journaux (SIEM)
Éradiquer
-  Gestion de vulnérabilités
-  Réponse aux incidents
Recommencer

Mécanismes de défense

Surveillance

Processus de réponse aux incidents
!

Conclusion
Comme le portrait de la sécurité a beaucoup
évolué, nous devons penser différemment.
Les solutions “traditionnelles” sont encore
nécessaires, mais ne sont plus suffisantes.
Les attaquants ont évolué. Nous devons évoluer nous
aussi.

Cusin Sécurité Inc. | Michel Cusin |418 431-9932| michel@cusin.ca | cusin.ca
Questions?

Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (8)

Destaque

Destaque (20)

Semelhante a Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau

Semelhante a Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau (20)

Mais de ISACA Chapitre de Québec

Mais de ISACA Chapitre de Québec (20)

Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau